Een bedrijf moet cryptografische sleutels in zijn on-premises sleutelbeheerder bewaren vanwege wettelijke vereisten. De on-premises sleutelbeheerder bevindt zich buiten de AWS Cloud. Het bedrijf wil versleuteling en ontsleuteling beheren met behulp van sleutels die buiten AWS worden bewaard en die verschillende externe sleutelbeheerders van verschillende leveranciers ondersteunen. Welke oplossing voldoet aan deze vereisten met de MINSTE operationele overhead?

De juiste optie is het gebruik van een AWS Key Management Service (AWS KMS) external key store ondersteund door een externe sleutelbeheerder. Dit komt omdat een external key store (XKS) in AWS KMS specifiek is ontworpen om te voldoen aan de vereiste om cryptografische sleutels buiten AWS te bewaren en toch de versleutelings- en ontsleutelingsbewerkingen via AWS KMS te beheren. Het ondersteunt integratie met verschillende externe sleutelbeheerders van verschillende leveranciers, wat voldoet aan de flexibiliteitseis. De operationele overhead is minimaal omdat AWS KMS de integratie en het beheer van de sleutels afhandelt, terwijl de sleutels zelf on-premises blijven. Een AWS CloudHSM key store (en custom key store ondersteund door CloudHSM) zou de sleutels binnen AWS CloudHSM opslaan, wat niet voldoet aan de eis om de sleutels buiten AWS te bewaren. De standaard AWS KMS managed key store slaat sleutels op die volledig door AWS worden beheerd, wat ook niet voldoet aan de eis dat de sleutels on-premises moeten blijven.